Active Directory Güvenlik ve Sızma Testi Nedir?

Active Directory (AD), Microsoft tabanlı kurumsal ağlarda kullanıcı kimliklerinin, bilgisayarların, sunucuların, güvenlik gruplarının ve erişim yetkilerinin merkezi olarak yönetildiği en kritik altyapılardan biridir. Günümüzde kurumların büyük bölümü kimlik doğrulama, yetkilendirme ve erişim yönetimi süreçlerini Active Directory üzerinden yürütmektedir.

Active Directory Güvenlik ve Sızma Testi (Active Directory Penetration Test), etki alanı (Domain) altyapısının güvenlik seviyesini değerlendirmek, yanlış yapılandırmaları tespit etmek ve saldırganların ayrıcalık yükseltme (Privilege Escalation), yatay hareket (Lateral Movement) veya Domain Administrator yetkisi elde etmek için kullanabileceği güvenlik açıklarını belirlemek amacıyla gerçekleştirilen kapsamlı güvenlik testidir.

Test sürecinde yalnızca Domain Controller'lar değil; kullanıcı hesapları, servis hesapları, Grup İlkeleri (Group Policy - GPO), Kerberos altyapısı, DNS servisleri, LDAP, SMB, NTLM, Active Directory Certificate Services (AD CS) ve etki alanı güvenlik yapılandırmaları gerçek saldırgan teknikleri kullanılarak analiz edilir.

SecureSys Active Directory Güvenlik Testleri; MITRE ATT&CK, Microsoft Security Baselines, NIST, PTES ve Microsoft Active Directory Security Best Practices doğrultusunda gerçekleştirilmektedir.

Active Directory Güvenlik Testi Neden Yapılmalıdır?

Active Directory altyapısı ele geçirildiğinde saldırganlar yalnızca bir kullanıcı hesabına değil, tüm kurumsal ağın kontrolüne erişebilir. Domain Administrator yetkisi elde edilmesi; sunucuların, istemci bilgisayarların, dosya paylaşımlarının ve kritik sistemlerin tamamen kontrol altına alınmasına neden olabilir.

Yanlış yapılandırılmış bir Active Directory ortamı aşağıdaki riskleri oluşturabilir:

Domain Administrator yetkisinin ele geçirilmesi
Kullanıcı hesaplarının ele geçirilmesi
Kerberos saldırıları
NTLM Relay saldırıları
Pass-the-Hash saldırıları
Pass-the-Ticket saldırıları
Golden Ticket ve Silver Ticket saldırıları
Yetkisiz erişim ve ayrıcalık yükseltme
Fidye yazılımının etki alanı içerisinde yayılması
Grup İlkelerinin (GPO) manipüle edilmesi
Hizmet hesaplarının kötüye kullanılması
Veri sızıntısı ve iş sürekliliğinin bozulması

Bu nedenle Active Directory güvenliği, kurumsal siber güvenlik stratejisinin en kritik bileşenlerinden biridir.

Active Directory Altyapısı Nedir?

Active Directory; kullanıcıların kimlik doğrulamasını, cihaz yönetimini ve erişim yetkilendirmesini sağlayan merkezi dizin hizmetidir.

Temel bileşenler şunlardır:

Domain Controller (DC)
Forest
Domain
Organizational Unit (OU)
Group Policy Objects (GPO)
DNS
LDAP
Kerberos
NTLM
Active Directory Certificate Services (AD CS)
Active Directory Federation Services (AD FS)
Group Managed Service Accounts (gMSA)

Active Directory Güvenlik Açıkları

Active Directory altyapıları, kurumsal ağların merkezi kimlik doğrulama sistemi olduğu için saldırganların ilk hedeflerinden biridir. Yanlış yapılandırmalar, zayıf parola politikaları, hatalı yetkilendirmeler ve eski protokoller, etki alanının (Domain) tamamen ele geçirilmesine neden olabilir.

SecureSys Active Directory Güvenlik Testleri kapsamında yalnızca bilinen güvenlik açıkları değil, aynı zamanda saldırganların gerçek ortamlarda kullandığı ayrıcalık yükseltme (Privilege Escalation), yatay hareket (Lateral Movement) ve kimlik bilgisi ele geçirme teknikleri de analiz edilmektedir.

Başlıca değerlendirilen güvenlik riskleri:

Zayıf parola politikaları
Ayrıcalıklı hesapların yanlış yönetimi
Yetkisiz yönetici hakları
GPO yapılandırma hataları
SMB ve LDAP güvenlik eksiklikleri
Kerberos zafiyetleri
Active Directory Certificate Services (AD CS) açıkları
Güvensiz servis hesapları
LLMNR ve NetBIOS yapılandırmaları
Eski protokoller (NTLMv1 vb.)
Ağ segmentasyonu eksiklikleri
Delegation yapılandırma hataları

Kerberos Güvenlik Testleri

Kerberos, Active Directory ortamlarında varsayılan kimlik doğrulama protokolüdür. Yanlış yapılandırmalar veya zayıf servis hesapları, saldırganların kullanıcı parolalarını doğrudan bilmeden ayrıcalıklı erişim elde etmesine olanak sağlayabilir.

SecureSys tarafından gerçekleştirilen Kerberos güvenlik analizlerinde aşağıdaki kontroller değerlendirilmektedir:

Kerberos Ticket Güvenliği
Ticket Granting Ticket (TGT)
Service Ticket Analizi
Kerberos Delegation
Constrained Delegation
Unconstrained Delegation
Resource-Based Constrained Delegation (RBCD)
Ticket Lifetime
AES / RC4 Yapılandırmaları
Kerberos Encryption Türleri

NTLM ve LDAP Güvenliği

Birçok kurumda NTLM ve LDAP servisleri halen aktif olarak kullanılmaktadır. Yanlış yapılandırılmış NTLM veya LDAP servisleri saldırganların kimlik bilgilerini ele geçirmesine ve Domain içerisinde ilerlemesine neden olabilir.

Test edilen başlıca kontroller:

NTLMv1 Kullanımı
NTLM Relay Koruması
LDAP Signing
LDAP Channel Binding
Anonymous LDAP
SMB Signing
LDAP Enumeration
LDAP Yetkilendirme Kontrolleri

Pass-the-Hash (PtH) Saldırıları

Pass-the-Hash saldırılarında saldırgan, kullanıcının gerçek parolasını bilmeden NTLM Hash değerini kullanarak sisteme kimlik doğrulaması yapabilir.

SecureSys analizlerinde;

Hash Koruma Mekanizmaları
LSASS Koruması
Credential Guard
NTLM Kullanımı
Hash Saklama Davranışları

değerlendirilmektedir.

Pass-the-Ticket (PtT) Saldırıları

Pass-the-Ticket saldırılarında Kerberos Ticket'ları ele geçirilerek kullanıcı yetkileri taklit edilir.

Bu teknik özellikle Domain Administrator hesapları için kritik risk oluşturmaktadır.

Analiz edilen başlıklar:

Ticket Güvenliği
TGT Koruması
Service Ticket Güvenliği
Ticket Lifetime
Ticket Reuse

Golden Ticket Saldırıları

Golden Ticket saldırısı, Kerberos KRBTGT hesabının ele geçirilmesi durumunda saldırganın istediği kullanıcı adına geçerli Ticket üretebilmesini sağlayan en kritik Active Directory saldırılarından biridir.

Bu saldırı başarılı olduğunda;

Domain Administrator erişimi
Süresiz yetkilendirme
Tüm Domain kontrolü

elde edilebilir.

SecureSys testlerinde KRBTGT güvenliği, parola rotasyonu ve Ticket doğrulama süreçleri analiz edilir.

Silver Ticket Saldırıları

Silver Ticket saldırılarında yalnızca belirli servisler hedef alınır.

Dosya sunucuları, SQL Server, IIS veya diğer servis hesaplarına ait Ticket'lar üretilerek ilgili servislere yetkisiz erişim sağlanabilir.

Kerberoasting Nedir?

Kerberoasting, Service Principal Name (SPN) tanımlı servis hesaplarını hedef alan Kerberos tabanlı saldırıdır.

Saldırgan servis Ticket'larını elde ederek çevrimdışı parola kırma (Offline Password Cracking) işlemi gerçekleştirebilir.

Test edilen başlıklar:

SPN Hesapları
Servis Hesapları
Zayıf Parolalar
AES Kullanımı
RC4 Kullanımı
Managed Service Account

AS-REP Roasting Nedir?

"Do not require Kerberos preauthentication" seçeneği aktif olan kullanıcı hesapları AS-REP Roasting saldırısına maruz kalabilir.

Bu durumda saldırgan kullanıcı parolasını bilmeden Kerberos yanıtını alabilir ve çevrimdışı parola kırma saldırısı gerçekleştirebilir.

SecureSys;

Preauthentication
Kullanıcı Yapılandırmaları
AES Desteği
Legacy Hesaplar

üzerinde güvenlik değerlendirmesi gerçekleştirir.

LLMNR ve NBT-NS Poisoning

LLMNR ve NetBIOS Name Service (NBT-NS), kurum ağlarında en sık kötüye kullanılan servislerden biridir.

Yanlış yapılandırılmış ağlarda saldırgan;

NTLM Hash toplama
SMB Relay
Kimlik bilgisi ele geçirme

işlemlerini gerçekleştirebilir.

Analiz edilen başlıca kontroller:

LLMNR
NBT-NS
WPAD
SMB Signing
DNS Yapılandırmaları

SMB Relay ve NTLM Relay Saldırıları

SMB Relay saldırıları, kullanıcı kimlik doğrulama trafiğinin başka sistemlere yönlendirilmesini sağlayan kritik saldırılardır.

Testlerde;

SMB Signing
NTLM Relay
LDAP Relay
HTTP Relay
RPC Relay

senaryoları analiz edilir.

BloodHound Analizi ve Attack Path

BloodHound, Active Directory ortamındaki kullanıcılar, gruplar, bilgisayarlar ve yetkilendirme ilişkilerini analiz ederek saldırganların Domain Administrator yetkisine ulaşabileceği olası saldırı yollarını (Attack Path) ortaya çıkaran gelişmiş bir analiz yöntemidir.

SecureSys testlerinde BloodHound analizleri ile;

Attack Path
Shortest Path to Domain Admin
Privilege Escalation
Delegation Abuse
ACL Abuse
GPO Abuse
Trust Relationship

değerlendirilmektedir.

Active Directory Certificate Services (AD CS) Güvenliği

Active Directory Certificate Services yanlış yapılandırıldığında son yılların en kritik Active Directory saldırılarından biri olan ESC (Enterprise Security Configuration) açıklarına neden olabilir.

Analiz edilen başlıklar:

ESC1
ESC2
ESC3
ESC4
ESC6
ESC8
Certificate Template
Enrollment Rights
PKI Yapılandırmaları

Group Policy (GPO) Güvenliği

Group Policy Objects (GPO), Domain genelindeki bilgisayar ve kullanıcı yapılandırmalarını merkezi olarak yönetmektedir.

Yanlış yapılandırılmış GPO'lar;

Yetki yükseltme
Zararlı yazılım dağıtımı
Güvenlik politikalarının değiştirilmesi

gibi risklere neden olabilir.

SecureSys tarafından;

GPO Delegation
GPO Permission
Startup Script
Logon Script
Scheduled Task
Registry Policy

analiz edilmektedir.

Privileged Access ve Service Account Analizi

Servis hesapları ve ayrıcalıklı kullanıcılar Active Directory'nin en kritik bileşenleridir.

Test edilen başlıca alanlar:

Domain Admin
Enterprise Admin
Schema Admin
Backup Operator
Account Operator
Service Account
Managed Service Account
gMSA
Local Administrator
SID History

Lateral Movement Teknikleri

Saldırganlar tek bir bilgisayarı ele geçirmekle yetinmez; Domain içerisinde diğer sistemlere ilerlemeye çalışırlar.

SecureSys kontrollü senaryolar ile aşağıdaki teknikleri değerlendirir:

Pass-the-Hash
Pass-the-Ticket
PsExec
WMI
WinRM
RDP
SMB
Remote Service Creation
Scheduled Tasks
DCOM
Remote PowerShell

MITRE ATT&CK ve Active Directory

SecureSys Active Directory Güvenlik Testleri, MITRE ATT&CK Enterprise Framework referans alınarak gerçekleştirilmektedir.

Başlıca analiz edilen teknikler:

Initial Access
Execution
Persistence
Privilege Escalation
Credential Access
Discovery
Lateral Movement
Collection
Exfiltration
Command and Control

Böylece yalnızca teknik güvenlik açıkları değil, saldırganların gerçek dünyada izleyebileceği tüm saldırı zinciri (Attack Chain) değerlendirilmektedir.

Active Directory Güvenlik Testi Süreci

SecureSys Active Directory Güvenlik Testleri aşağıdaki metodoloji ile yürütülmektedir:

Kapsam Belirleme ve Planlama
Active Directory Envanter Analizi
Domain ve Forest Yapısının İncelenmesi
Kullanıcı, Grup ve Yetki Analizi
Kerberos ve NTLM Güvenlik Kontrolleri
BloodHound Attack Path Analizi
Servis Hesapları ve GPO İncelemesi
Privilege Escalation Senaryoları
Lateral Movement Simülasyonları
AD CS ve Sertifika Altyapısı Analizi
Risk Değerlendirmesi
Teknik ve Yönetici Raporlarının Hazırlanması
İyileştirme Önerileri ve Retest

Neden SecureSys?

Active Directory güvenliği yalnızca kullanıcı hesaplarının veya Domain Controller'ların kontrol edilmesinden ibaret değildir. Gerçek bir güvenlik değerlendirmesi; kimlik doğrulama protokollerini, yetkilendirme yapılarını, servis hesaplarını, güven ilişkilerini (Trust), sertifika altyapısını ve saldırganların Domain Administrator yetkisine ulaşmak için kullanabileceği tüm saldırı yollarını kapsamalıdır.

SecureSys olarak Active Directory güvenlik testlerini, MITRE ATT&CK Enterprise, Microsoft Security Baselines ve sektörün kabul görmüş en iyi uygulamaları doğrultusunda gerçekleştiriyoruz. BloodHound Attack Path analizleri, Kerberoasting, AS-REP Roasting, NTLM Relay, AD CS güvenliği ve ayrıcalık yükseltme senaryolarını kontrollü olarak test ederek, yalnızca mevcut güvenlik açıklarını değil, olası saldırı zincirlerini de ortaya çıkarıyoruz.

SecureSys Farkı

TSE TS 13638 kapsamında uzman sızma testi hizmeti
MITRE ATT&CK Enterprise referanslı Active Directory güvenlik değerlendirmesi
BloodHound Attack Path ve Privilege Escalation analizleri
Kerberos, NTLM, LDAP ve SMB güvenlik testleri
Kerberoasting, AS-REP Roasting, Pass-the-Hash ve Golden Ticket senaryoları
Active Directory Certificate Services (AD CS) güvenlik analizi
Group Policy (GPO), servis hesapları ve ayrıcalıklı erişim kontrolleri
Teknik ve yönetici seviyesinde kapsamlı raporlama
Risk önceliklendirmesi, uygulanabilir iyileştirme önerileri ve Retest desteği

Active Directory Güvenlik ve Sızma Testi Hizmeti